PHP’de Kritik Güvenlik Alarmı: İki Büyük Açık İçin Acil Güncelleme Çağrısı

PHP Güvenlik Açıkları Nasıl Ortaya Çıktı?

PHP güvenlik ekibi, 20 Ekim 2026 tarihinde kritik güvenlik sorunları için yeni sürümlerin yayımlanacağını duyurdu. Bu açıklamanın ardından Avrupa Birliği Bilgisayar Acil Müdahale Ekibi CERT-EU, kuruluşlara gerekli hazırlıkları yapmaları yönünde uyarıda bulundu.

Beklenen güvenlik güncellemeleri 21 Ekim 2026 tarihinde yayımlandı. PHP geliştiricileri, güvenlik açıklarının doğrudan PHP’nin çekirdek çalışma ortamını etkilediğini ve uzaktan kod çalıştırma riski oluşturduğunu açıkladı.

Yayımlanan teknik bilgilere göre sorunlar, PHP’nin bellek yönetimi ve HTTP isteklerini işleme mekanizmalarıyla ilişkili. Özellikle bellek yetersizliği sırasında dahili verilerin hatalı işlenmesi ve önceki isteklere ait bellek bilgilerinin uygun şekilde temizlenmemesi, saldırganların yararlanabileceği güvenlik zafiyetlerine yol açabiliyor.

Güvenlik araştırmacılarının değerlendirmeleri, saldırıların yalnızca web uygulamalarındaki kullanıcı giriş ekranlarını veya eklentileri hedef almakla sınırlı olmadığını gösteriyor. Bazı sunucu yapılandırmalarında güvenlik açığı, uygulama kodları çalıştırılmadan önce tetiklenebiliyor.

Avrupa Birliği’nden Ortak Siber Güvenlik Uyarısı

21 Ekim’de Avrupa Komisyonu, ENISA, CERT-EU, Europol Avrupa Siber Suçlarla Mücadele Merkezi ve ulusal siber güvenlik müdahale ekipleri tarafından ortak bir açıklama yayımlandı.

Açıklamada kuruluşlardan PHP tabanlı uygulamalarını belirlemeleri, hosting hizmet sağlayıcılarıyla koordinasyon kurmaları ve güvenlik güncellemelerini geciktirmeden uygulamaları istendi. İnternet üzerinden doğrudan erişilebilen sistemlere öncelik verilmesi gerektiği özellikle vurgulandı.

Uyarının Avrupa düzeyinde ortak olarak yapılması, güvenlik açığının yalnızca belirli bir yazılımı veya sektörü ilgilendirmediğini gösteriyor. Kurumsal internet siteleri, içerik yönetim sistemleri, e-ticaret platformları ve PHP tabanlı çeşitli web uygulamaları risk değerlendirmesinin kapsamına giriyor.

Yeni Zelanda’dan Aktif Saldırı Raporları Hakkında Uyarı

Gelişmelerin ardından 22 Ekim 2026 tarihinde Yeni Zelanda Ulusal Siber Güvenlik Merkezi (NCSC), güvenlik açıklarıyla ilgili güncellenmiş bir uyarı yayımladı.

Kurumun açıklamasında CVE-2026-109618 ve CVE-2026-109619 açıklarının aktif biçimde istismar edildiğine ilişkin raporlardan haberdar olunduğu belirtildi. Bu bilgi, güvenlik sorunlarının yalnızca teorik bir tehdit olarak değerlendirilmemesi gerektiğine işaret ediyor.

Bununla birlikte açıklama, saldırıların dünya genelindeki bütün PHP sunucularını etkilediğini veya PHP kullanan her web sitesinin ele geçirildiğini göstermiyor. Gerçek risk, kullanılan PHP sürümüne, güvenlik güncellemelerine ve sunucu yapılandırmasına bağlı olarak değişiyor.

WordPress ve E-Ticaret Siteleri de Gündemde

PHP’nin geniş kullanım alanı, açıklanan güvenlik açıklarının etkisini artıran temel unsurlar arasında bulunuyor. Dünyada çok sayıda web sitesi WordPress, Joomla ve Drupal gibi PHP tabanlı içerik yönetim sistemleriyle çalışıyor.

Bunun yanında çeşitli e-ticaret yazılımları, yönetim panelleri, müşteri portalları ve özel geliştirilmiş web uygulamaları da PHP altyapısından yararlanıyor.

İngiltere Ulusal Sağlık Hizmeti’nin dijital siber güvenlik birimi NHS England Digital tarafından yayımlanan uyarıda, güvenlik araştırmacılarının WordPress, Drupal ve Joomla gibi PHP kullanan sistemlerle ilişkili saldırı senaryolarını gösterdiği ifade edildi.

Ancak güvenlik uzmanları açısından önemli ayrım şu: Bir web sitesinin WordPress veya başka bir PHP tabanlı sistem kullanması, tek başına saldırıya açık olduğunu kanıtlamıyor. PHP ortamının güncelliği ve ilgili güvenlik düzeltmelerinin uygulanmış olması belirleyici önem taşıyor.

PHP İçin Hangi Güvenlik Güncellemeleri Yayımlandı?

PHP geliştirme ekibi, açıklanan iki kritik güvenlik açığını gidermek amacıyla 21 Ekim 2026 tarihinde dört güncel sürüm dalı için yeni paketler yayımladı.

PHP geliştiricileri, etkilenen sistemlerin gecikmeden güncellenmesini tavsiye etti. Özellikle Apache mod_php, PHP-FPM, php-cgi, LiteSpeed ve FrankenPHP gibi PHP çalıştırma ortamlarının değerlendirilmesi gerektiği bildirildi.

PHP 8.1 ve daha eski sürümler ise resmi PHP projesinin standart güvenlik desteği dışında bulunuyor. Bununla birlikte bazı sunucu yönetim şirketleri ve Linux dağıtımları, eski sürümler için özel güvenlik düzeltmeleri sağlayabiliyor.

Nitekim hosting yönetim paneli cPanel de 21 Ekim’de yayımladığı açıklamada, ilgili güvenlik açıklarına karşı EasyApache paketleri ve desteklenen cPanel sürümleri için güncellemeler duyurdu.

Google Cloud da Güvenlik Açıklarına İlişkin Açıklama Yaptı

Google Cloud, 21 Ekim 2026 tarihinde yayımladığı teknik değerlendirmede, PHP’nin çekirdek çalışma ortamında bulunan iki kritik güvenlik açığının uygulamaları yetkisiz uzaktan kod çalıştırma ve bellek bilgilerinin açığa çıkması riskleriyle karşı karşıya bırakabileceğini belirtti.

Açıklamada güvenlik araştırmaları ve düzeltme çalışmalarında yapay zekâ destekli analiz araçlarının da kullanıldığı ifade edildi. Google Cloud, kendi altyapısının söz konusu açıklardan etkilenmediğini açıklarken, platform üzerinde PHP uygulamaları çalıştıran müşterilerin ise kullandıkları yazılım ortamlarını kontrol etmeleri gerektiğini vurguladı.

Bu gelişme, yapay zekâ teknolojilerinin yazılım güvenlik araştırmalarında üstlendiği rolü de yeniden gündeme taşıdı. Güvenlik açıklarının tespiti, saldırı senaryolarının analiz edilmesi ve yamaların doğrulanması gibi süreçlerde yapay zekâ destekli yöntemlerin kullanımı giderek önem kazanıyor.

Hosting Firmaları ve Web Sitesi Yöneticileri İçin Kritik Süreç

Uluslararası kurumların açıklamaları, güvenlik güncellemelerinin zamanında uygulanmasının önemine dikkat çekiyor. Özellikle çok sayıda web sitesine hizmet veren hosting sunucularında PHP’nin güncellenmesi, farklı müşterilere ait uygulamaların güvenliğini doğrudan ilgilendirebiliyor.

Paylaşımlı hosting sistemleri kullanan web sitesi sahiplerinin, PHP güvenlik düzeltmelerinin uygulanıp uygulanmadığını hizmet sağlayıcılarından doğrulamaları gerekiyor.

Öte yandan yalnızca güvenlik duvarı kullanılması, güçlü parola belirlenmesi veya bir güvenlik eklentisinin kurulu olması, PHP’nin çekirdeğinde bulunan açıkları tamamen ortadan kaldırmıyor. PHP geliştirme ekibi de yayımladığı resmi açıklamada eksiksiz bir geçici koruma yöntemi bulunmadığını ve güvenlik güncellemesinin gerekli olduğunu belirtiyor.

Konuya ilişkin teknik ayrıntılar, güvenlik açıklarının çalışma biçimi ve etkilenen PHP sürümleri hakkında kapsamlı bilgi edinmek isteyenler, Vuslat Teknoloji tarafından yayımlanan PHP kritik güvenlik açığı incelemesini okuyabilir.

PHP Güvenlik Açıklarında Son Durum Ne?

22 Ekim 2026 itibarıyla PHP’nin dört güncel sürüm dalı için güvenlik düzeltmeleri yayımlanmış durumda. Avrupa Birliği kurumları ve ulusal siber güvenlik merkezleri, kuruluşların güncellemeleri geciktirmemeleri gerektiği yönündeki çağrılarını sürdürüyor.

Yeni Zelanda NCSC’nin aktif istismar raporlarına ilişkin uyarısı ise konunun yalnızca yazılım geliştiricileri tarafından değil, sunucu yöneticileri, hosting sağlayıcıları ve işletmeler tarafından da yakından takip edilmesini gerekli kılıyor.

İnternet sitelerinde kullanılan teknolojilerin güvenliği, yalnızca görünen tasarım ve işlevlerden ibaret değil. PHP’de ortaya çıkan bu kritik açıklar, web altyapılarının sürekli güncel tutulmasının ve güvenlik duyurularının takip edilmesinin önemini bir kez daha ortaya koyuyor.

Güvenlik uzmanlarının ortak mesajı net: PHP tabanlı sistemler kontrol edilmeli ve gerekli güvenlik güncellemeleri geciktirilmeden uygulanmalı.

Kaynaklar:

• PHP Resmi Güvenlik Duyurusu – 21 Ekim 2026
• ENISA – Kritik PHP Açıkları Hakkında Ortak Açıklama
• CERT-EU – Critical Vulnerabilities in PHP
• Yeni Zelanda NCSC – Güncellenmiş PHP Güvenlik Uyarısı
• Google Cloud – Responding to Core PHP Vulnerabilities
• cPanel – Critical PHP Security Release
• NHS England Digital – Critical Vulnerabilities in PHP